Rrëmbimi i Tokenit të Sesionit, Malware i Infostealer dhe Revokimi Global i Sesionit¶

Zbulimi se një sulmues sapo ka postuar mashtrime me kriptovaluta nga llogaria juaj në YouTube, Instagram, Discord ose X, ka krijuar rregulla përcjelljeje në kutinë tuaj hyrëse të Gmail ose Microsoft 365, ose ka hyrë në tastierën tuaj cloud të korporatës pa aktivizuar kurrë një kod 2FA në telefonin tuaj ose një alarm "Hyrja e re" e-mail **** është një nënshkrim i pagabueshëm i Tokësokokja e Tokës. (Pass-the-Cookie) shkaktuar nga Infostealer Malware. Kur hyni në një faqe interneti dhe kontrolloni "Më mbaj të identifikuar", serveri lëshon një skedar të koduar të sesionit HTTP ose token të bartësit të OAuth (si p.sh. SID / SAPISID, të Microsoft-it ESTSAUTHPERSISTENT, ose të Discord Authorization token) i ruajtur brenda bazës së të dhënave lokale SQLite të shfletuesit tuaj të internetit.

Familjet e programeve malware të info vjedhësve të mallrave, duke përfshirë Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys dhe Atomic macOS Stealer (AMOS), mos prisni në kompjuterin tuaj si viruset tradicionale. Shpesh i maskuar si një modalitet i rremë i lojës, instalues ​​i softuerit i thyer, një kërkesë e rreme "ClickFix" PowerShell CAPTCHA ose si PDF e bashkëpunimit të sponsorizuar, një info vjedhës ekzekuton në nën 4 sekonda, deshifron Chrome, Edge, Brave ose Firefox Cookies dhe Login Data bazat e të dhënave në memorie, i bashkon ato me skedarët e portofolit të kriptomonedhës tuaj të desktopit, ngarkon arkivin në një server Telegram ose C2 dhe fshihet vetë. Kur sulmuesi importon kukit e sesionit tuaj të vjedhur në një shfletues kundër zbulimit (Multilogin, Dolphin{anty}, ose Gologin), serveri i uebit mendon se sulmuesi është kompjuteri juaj tashmë i vërtetuar, duke anashkaluar plotësisht fjalëkalimin tuaj dhe vërtetimin tuaj me dy faktorë.

Bëje këtë tani¶

1. NDALO ndryshimin e fjalëkalimeve në kompjuterin e infektuar, shkëputeni menjëherë atë PC ose Mac nga Wi-Fi dhe shkëputni kabllon e tij Ethernet. Ky është gabimi numër 1 që bëjnë viktimat: ata vërejnë se Discord, Steam ose Gmail i tyre u rrëmbye, ulen në të njëjtin kompjuter desktop të infektuar dhe shkruan fjalëkalime krejt të reja në Chrome. Nëse një ngarkues i qëndrueshmërisë së infovjedhjes ose një detyrë e planifikuar është ende aktive në atë makinë, ajo do të kapë menjëherë fjalëkalimet tuaja të reja dhe skedarët e rinj të sesionit dhe do t'i dërgojë ato menjëherë te sulmuesi. Bëj 100 për qind të ndryshimeve të fjalëkalimit dhe revokimeve të sesioneve nga një smartphone i pastër (në të dhëna celulare ose Wi-Fi i pastër) ose një laptop i veçantë, i paprekur.
2. Kuptoni se vetëm ndryshimi i një fjalëkalimi NUK zhvlerëson gjithmonë skedarët e sesioneve të vjedhura ose argumentet e rifreskimit të OAuth, ju DUHET të klikoni në mënyrë eksplicite "Dilni nga të gjitha sesionet" DHE të revokoni aplikacionet OAuth të palëve të treta. Në disa platforma (dhe me ato të padokumentuara të Google MultiLogin / issueToken Pikat përfundimtare të OAuth ose shenjat e sesionit jetëgjatë), thjesht ndryshimi i fjalëkalimit ose rrotullimi i 2FA mund të lërë të gjallë shenjat ekzistuese të sesionit dytësor ose argumentet e desktopit OAuth, përveç nëse ekzekutoni hapat Sesioni Global dhe Revokimi i Tokenit specifik për platformën në tabelën më poshtë.
3. Nëse keni një shtesë softuerike të portofolit të kriptomonedhës (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) të instaluar në kompjuterin e infektuar, përdorni një telefon të pastër tani për të evakuuar fondet tuaja në një frazë të re të portofolit të harduerit. Infostealer kodon automatikisht skedarët e enkriptuar vault.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn për MetaMask) së bashku me fjalëkalimet e ruajtura të shfletuesit tuaj. Edhe nëse sulmuesi nuk e ka prekur ende kriptomin tuaj, skedari juaj i kasafortës është tashmë i vendosur në një treg të errët rrjeti duke pritur për një krisues GPU offline. Ekzekutoni tonën kullimi i portofolit të kriptomonedhës dhe kompromisi i frazës së farës udhëzojë menjëherë.
4. Siguroni "Llogaritë tuaja të Identitetit Apex" (Email Primar, Menaxheri i Fjalëkalimit, Llogaria Apple/Google dhe SSO e korporatës) në 10 minutat e para. Në telefonin tuaj inteligjent të pastër, hapni Google / Gmail (myaccount.google.com/device-activity) dhe Microsoft (mysignins.microsoft.com) llogaritë së pari. Dilni nga të gjitha sesionet e desktopit, rrotulloni fjalëkalimin kryesor, kontrolloni Cilësimet > Përcjellja dhe POP/IMAP dhe Filtra/Rregullat për të fshirë çdo rregull të fshehtë të përcjelljes së emailit që sulmuesi ka krijuar për të fshehur emailet e rivendosjes së fjalëkalimit nga shërbimet e tjera dhe kontrolloni çelësat e regjistruar dhe pajisjet Authenticator.
5. ** Kontrolloni Regjistrin tuaj të Windows Run çelësat, Task Scheduler dhe historia e PowerShell nëse së fundi keni ekzekutuar një komandë të rreme CAPTCHA "ClickFix" (Win + R -> Ctrl + V).** Një nga vektorët e info vjedhësve me rritje më të shpejtë sot është një dritare e rreme Cloudflare ose Google CAPTCHA në një faqe interneti që ju udhëzon të "Shtypni Win + R, shtypni Ctrl + V, dhe shtypni Enter për të verifikuar që je njeri" (i cili në heshtje ekzekuton një të fshehur mshta.exe ose powershell -w hidden -enc ... komanda e kopjuar në kujtesën tuaj).
6. Mbajeni perspektivën dhe mbroni sigurinë fizike nëse shkelja përfshin infrastrukturën e korporatës ose zhvatjen. Regjistrat e infovjedhuesve shpesh shkaktojnë emaile automatike për shpërblesë ose grabitje që citojnë fjalëkalimin tuaj të vjedhur. Asnjëherë mos i paguani zhvatësit; shih tonën seksortimi dhe shantazhi online udhëzues dhe nëse përballeni ndonjëherë me një kërcënim fizik, telefononi numrin tuaj të urgjencës lokale (911 në Shtetet e Bashkuara dhe Kanada, 112 në të gjithë Bashkimin Evropian, 999 në Mbretërinë e Bashkuar, ose shikoni numrat e urgjencës drejtoria).

Pema e vendimit për reagimin e incidentit të vjedhësit të informacionit dhe rrëmbimit të kukive të sesionit¶

flowchart TD
    Root["Dyshim për rrëmbim të skedarëve të sesionit ose infeksion malware nga infovjedhja"] --> IsolatePC["HAPI 1: Shkëputni menjëherë PC/Mac të infektuar nga Wi-Fi dhe Ethernet (MOS Ndryshoni fjalëkalimet në PC të infektuar)"]

    IsolatePC --> CryptoCheck{"A kishte ndonjë shtesë të portofolit kripto (MetaMask, Phantom, Exodus) në atë PC?"}
    CryptoCheck -->|"po"| EvacCrypto["Përdorni menjëherë një portofol të pastër telefoni/hardware për të fshirë të gjitha asetet kripto në një frazë krejt të re të farës"]
    CryptoCheck -->|"Nr"| ApexLock["HAPI 2: Në një telefon inteligjent të pastër, së pari mbyllni emailin kryesor (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["HAPI 3: Ekzekutoni Sesionin Global + Token OAuth + Revokimi i fjalëkalimit në të gjitha llogaritë kritike (Shihni Matricën e Platformës më poshtë)"]

    GlobalRevoke --> ExportList["HAPI 4: Në PC të infektuar jashtë linje, eksportoni listën e të gjitha fjalëkalimeve dhe skedarëve të ruajtur të shfletuesit për të ditur saktësisht se cilat llogari janë vjedhur"]

    ExportList --> CleanOS["HAPI 5: Rezervoni vetëm dokumentet personale -> Kryeni fshirjen e sistemit operativ të pastër/instaloni përsëri -> Regjistro përsëri çelësat e hyrjes dhe aktivizo enkriptimin e lidhur me aplikacionin e Chrome"]

Të kuptuarit se si Infostealers anashkalojnë kriptimin 2FA dhe DPAPI / Keychain¶

Si mundet një program 200 kilobajt të vjedhë fjalëkalime dhe skedarë sesionesh që Google Chrome, Microsoft Edge dhe Brave i kodojnë në hard diskun tuaj?

1. Windows DPAPI (CryptUnprotectData) dhe Kriptimi i lidhur me aplikacionin Chrome (v20):
2. Në Windows, shfletuesit e bazuar në Chromium (Chrome, Edge, Brave, Opera, Vivaldi) ruajnë fjalëkalimet tuaja të ruajtura brenda %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data dhe skedarët e sesionit tuaj brenda \Network\Cookies.
3. Këto baza të dhënash SQLite janë të koduara me një çelës kryesor AES-256-GCM të ruajtur në %LOCALAPPDATA%\Google\Chrome\User Data\Local State, i cili mbrohet nga API i Mbrojtjes së të Dhënave të Windows (DPAPI) i lidhur me llogarinë tuaj të përdoruesit të Windows të identifikuar.
4. Për shkak se e keni drejtuar infostealer si përdoruesi juaj i Windows i identifikuar, çdo proces që funksionon nën llogarinë tuaj të përdoruesit mund të thërrasë historikisht CryptUnprotectData() për t'i kërkuar Windows të deshifrojë çelësin. Dhe për të anashkaluar kriptimin e lidhur me aplikacionin Chrome 127+ (v20 elevator service), modern infostealers inject directly into a headless chrome.exe debugging process (--remote-debugging-port) ose përdorni lartësinë COM për t'i kërkuar vetë Chrome që të hedhë të gjitha kukit e deshifruar të drejtpërdrejtë.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. On Apple macOS, infostealers disguised as .dmg downloads (often asking you to "Right-click -> Open" or drag the icon to Terminal to bypass Apple Gatekeeper) pop up a fake native macOS dialog box reading "System Preferences wants to access your confidential information: Enter your Mac login password". The instant you type your Mac login password into that prompt, the script unlocks -/Library/Keychains/login.keychain-db and copies Safari/Chrome cookies, Apple Notes, and iCloud tokens.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Security researchers revealed that infostealers do not just steal standard web cookies, they also extract undocumented oauth_token service tokens from Chrome's Web Data (token_service table) SQLite file. Even after a victim changes their Google password once, attackers could previously replay the stolen token_service OAuth token against Google's internal OAuthLogin endpoint to mint brand-new valid SID browser cookies unless the user explicitly signed out the compromised Chrome device session AND revoked third-party/OAuth device access.

Step 1: Global Session, Cookie, OAuth, and Passkey Revocation Matrix¶

Using a clean smartphone or clean secondary computer, work down this exact table from top to bottom. Order matters: always do Step A (Sign out all active sessions/devices) and Step B (Change password) and Step C (Audit 2FA/Passkeys/OAuth/Forwarding) together, if you only change your password without terminating active sessions, the attacker's live browser tab stays logged in and can watch you or add a rogue recovery method.

Hapi 2: Si të zbuloni ÇDO llogari që është ekspozuar në kompjuterin tuaj të infektuar¶

Pasi të keni mbyllur 10 llogaritë tuaja kryesore kritike në telefonin tuaj të pastër, do të përballeni me një pyetje të frikshme: "Unë e kam përdorur atë kompjuter për katër vjet, si mund ta di se cila nga 250 faqet e mia të internetit kishte ruajtur fjalëkalime ose kuki aktive brenda Chrome/Edge kur infovjedhësi filloi?"

Ndërsa e mbani kompjuterin e infektuar 100 për qind jashtë linje (Wi-Fi FAKT, Etherneti i shkëputur), ndizni atë dhe nxirrni inventarin tuaj të saktë të ekspozimit përpara se të fshini pajisjen:

1. Eksportoni listën tuaj të fjalëkalimeve të ruajtura në shfletues (CSV):
2. Hapni shfletuesin tuaj jashtë linje (chrome://password-manager/settings në Chrome, edge://wallet/settings në Edge, ose about:logins në Firefox) dhe klikoni Eksportoni fjalëkalimet për të ruajtur Chrome Passwords.csv në një USB flash drive të pastër.
3. Pse ky skedar është i artë për rikuperimin tuaj: Infovjedhësi vodhi pikërisht këtë bazë të dhënash. Duke pasur Chrome Passwords.csv para jush ju jep listën e saktë të kontrollit të çdo emri përdoruesi dhe fjalëkalimi të vetëm të uebsajtit që sulmuesi tani zotëron, në mënyrë që të mos humbisni një portal të vjetër tatimor, llogari të miljeve të linjës ajrore ose sajt blerjesh me një kartë krediti të ruajtur.
4. Inspektoni se cilat faqe interneti kishin Cookies aktive të sesionit (chrome://settings/content/all):
5. Në Chrome ose Edge (kur jeni jashtë linje), shkoni te chrome://settings/content/all (ose edge://settings/content/all) dhe rendit sipas Të dhënat e ruajtura ose Më të vizituarit. Çdo uebsajt ku keni qëndruar i identifikuar pa shkruar një fjalëkalim ishte i cenueshëm ndaj vjedhjes së kukive të sesionit dhe ka nevojë që sesioni i tij të ndërpritet.
6. Kontrolloni nëse Menaxheri juaj i pavarur i fjalëkalimit (1Password, Bitwarden, KeePassXC) ishte i shkyçur në momentin e infektimit:
7. Nëse kasaforta juaj 1Password, Bitwarden ose KeePassXC ishte LOCKED kur vrapuesi i informacionit ekzekutoi: Malware mund të kapte vetëm memorien e koduar lokale të kasafortës (data.json ose .kdbx), i cili mbrohet nga PBKDF2-SHA256 / Argon2id + fjalëkalimi juaj kryesor (dhe çelësi sekret me 34 karaktere në 1Password). Nëse fjalëkalimi juaj kryesor është i fortë, përmbajtja juaj e kasafortës mbetet e sigurt, megjithëse duhet të rrotulloni fjalëkalimin tuaj kryesor si masë paraprake.
8. Nëse shtesa e shfletuesit tuaj të menaxherit të fjalëkalimeve ishte SHKYÇUR në memorie kur u ekzekutua malware (ose nëse e keni ruajtur fjalëkalimin kryesor të menaxherit të fjalëkalimit brenda plotësimit automatik të integruar të Chrome.): Supozoni se vjedhësi i informacionit ka hedhur kasafortën tuaj ose ka kapur fjalëkalimin tuaj kryesor dhe rrotulloni të gjitha kredencialet kritike brenda kasafortës.

Hapi 3: Gjuetia dhe zhdukja e këmbënguljes së Infostealer përpara se të fshini OS¶

Përpara se të bëni kopje rezervë të dokumenteve tuaja personale dhe të kryeni një riinstalim të pastër të sistemit operativ, mund të inspektoni se si infovjedhësi hyri në sistemin tuaj dhe nëse ai hoqi një ngarkues dytësor të vazhdueshëm (si p.sh. një detyrë e planifikuar, regjistri Run kyç, Startup .lnk shkurtore ose shtesa me qëllim të keq të Chrome):

1. Kryeni këtë Auditim të qëndrueshmërisë jashtë linje PowerShell (Windows)¶

Open PowerShell (Admin) on the offline PC and run these four read-only forensic checks:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Pse rekomandohet një riinstalim i pastër i OS (nëpërmjet mediave USB) pas një Infostealer¶

While running Microsoft Defender Offline Scan and Malwarebytes after clearing Defender exclusions removes known persistence loaders, commodity infostealers frequently bundle a secondary RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, or clipper malware (which silently monitors your Windows clipboard and swaps any copied Bitcoin/Ethereum wallet address with the hacker's address). - Once you have copied your personal documents, photos, and Chrome Passwords.csv off the offline PC, perform a clean Windows 11 USB Reinstall (or macOS Erase All Content and Settings) following our Udhëzues për infeksione malware, ransomware dhe spyware.

3. Auditimi i sistemeve macOS dhe Linux për Artifaktet Infostealer (Atomic macOS Stealer / AMOS, Poseidon, dhe Zgjatjet e Shfletuesit me qëllim të keq)¶

Nëse kompjuteri juaj i infektuar është një Apple MacBook/iMac ose një stacion pune zhvilluesi Linux dhe jo një kompjuter Windows, kryeni këto kontrolle të terminalit offline për të zbuluar dhe zhdukur qëndrueshmërinë:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Mbajtja e administratorit të ndërmarrjeve dhe resë kompjuterike (Microsoft Entra ID, Okta, Google Workspace dhe AWS IAM)¶

Nëse kompjuteri i infektuar nga një info vjedhës i përkiste një inxhinieri softueri, administratori DevOps ose punonjësi i korporatës që kishte seanca aktive në Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS ose Cloudflare, pastrimi lokal i pajisjes është vetëm gjysma e betejës. Ekzekutoni menjëherë këto revokime të drejtorisë cloud:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Klikimi "Dil" në një shfletues të vetëm nuk i anulon gjithmonë shenjat kryesore të rifreskimit (PRT) ose Azure CLI (az login / .azure/msal_token_cache.bin) shenjat e kopjuara nga disku. Një Administrator Entra duhet të kandidojë Revoke-MgUserSignInSession -UserId user@company.com në Microsoft Graph PowerShell për të rivendosur atë të përdoruesit signInSessionsValidFromDateTime atribuoni dhe zhvlerësoni të gjitha shenjat e rifreskimit në të gjitha pikat fundore njëkohësisht.
• AWS CLI dhe Rotacioni i Tokenit të Zhvilluesit (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Info vjedhësit e mallrave skanojnë në mënyrë të qartë drejtorinë kryesore të çdo përdoruesi .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, dhe skedarët e konfigurimit Docker/Kubernetes. Çaktivizo menjëherë dhe rrotullo të gjithë çelësat e hyrjes AWS IAM (AKIA...) në konsolën AWS, anuloni Tokenat e hyrjes personale të GitHub (ghp_...) dhe fshini çelësat publikë të ekspozuar SSH nga serverët e prodhimit (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Përtej shfletuesve të internetit, modulet e infostealer kopjojnë në mënyrë specifike %APPDATA%\Telegram Desktop\tdata direktoriumi (i cili lejon një sulmues të klonojë të gjithë llogarinë tuaj Telegram në kompjuterin e tij pa një kod SMS), %APPDATA%\Slack\storage, dhe ruajti OpenVPN (.ovpn) / WireGuard (.conf) profilet e korporatave VPN. Hapni Telegramin në telefonin tuaj (Cilësimet > Pajisjet -> Përfundoni të gjitha sesionet e tjera), dilni nga të gjitha hapësirat e punës Slack (slack.com/account/settings -> Dilni nga të gjitha seancat e tjera), dhe kërkoni nga administratori i rrjetit tuaj të revokojë dhe të ribotojë certifikatën e klientit tuaj VPN të korporatës.

Parandalimi: Si ta bëni shfletuesin dhe llogaritë tuaja rezistente ndaj Infostealers¶

Pasi sistemi juaj të jetë i pastër dhe llogaritë tuaja të rikuperohen, zbatoni këto pesë mbrojtje në mënyrë që një info vjedhës të mos mund të rrëmbejë më kurrë jetën tuaj dixhitale:

• Mos ruani KURRË fjalëkalimet brenda menaxherit të integruar të fjalëkalimeve të shfletuesit tuaj të internetit (Chrome / Edge / Brave / Firefox Autofill) pa një Hardware/Çelës Master: Çdo vjedhës informacioni i mallrave në Tokë synon ato të Chrome Login Data Tabela SQLite së pari. Aktivizoni OFF "Oferta për të ruajtur fjalëkalimet" në chrome://password-manager/settings dhe ruani fjalëkalimet tuaja brenda një menaxheri të dedikuar të fjalëkalimeve me njohuri zero (1Password, Bitwarden, Proton Pass ose KeePassXC) të konfiguruar në Auto-Lock menjëherë kur sistemi kyçet ose pas 5 minutash kohë pa punë.
• Aktivizo "Device-Bound Session Credencials (DBSC)" & "App-Bound Encryption" në Chrome 127+: Sigurohuni që Google Chrome ose Edge të jenë përditësuar në versionin më të fundit dhe të instaluar në drejtorinë e parazgjedhur të sistemit (C:\Program Files\Google\Chrome\Application) pra GoogleChromeElevationService mund të lidhë enkriptimin e kukive me nivelet e privilegjeve të sistemit dhe çelësat e harduerit TPM nëpërmjet Krediencave të sesionit të lidhur në pajisje (DBSC).
• ** Çaktivizo kutinë e ekzekutimit të Windows (Win + R) ose mshta.exe për të bllokuar "ClickFix" Sulmet e rreme CAPTCHA**: Asnjëherë mos shtypni Win + R -> Ctrl + V -> Enter kur një faqe në internet CAPTCHA, ekran i rremë Cloudflare ose "Fix Microphone / Fix Font" ju kërkon të ngjisni një komandë në dialogun tuaj Run ose Terminal, asnjë uebsajt legjitim në Tokë nuk e verifikon kurrë njerëzimin duke ju kërkuar të ngjisni kodin në Win + R ose terminali macOS.
• Përdorni çelësat e sigurisë së harduerit (YubiKey) ose çelësat e kalimit + Kërkoni autentikim të ri për veprime të ndjeshme: Ndërsa kukit e sesioneve të vjedhura anashkalojnë kërkesat fillestare të hyrjes, platformat kryesore (Google, GitHub, Cloudflare, AWS, Coinbase) zbatojnë një ripërtëritje fizike (Step-Up 2* FI Authen) Prekni YubiKey ose kontrolloni biometrik të fjalëkalimit përpara se të lejoni këdo që ka një skedar sesioni të ndryshojë fjalëkalimin tuaj, të eksportojë të dhënat ose të shtojë një adresë tërheqjeje.
• Kontrolloni nëse e-mail-i juaj ose regjistri i vjedhësve është shfaqur në bazat e të dhënave të Monitorimit të Darknet: Vizitoni haveibeenpwned.com (i cili tani indekson miliona adresa emaili të viktimave të vjedhësve dhe domenet e komprometuara) dhe mundëson njoftime falas për shkeljen e rrjetit të errët për adresat tuaja të emailit.
• Izoloni shkarkimet e pabesueshme, modalitetet e lojërave dhe skriptet e palëve të treta brenda një makine virtuale ose Windows Sandbox: Asnjëherë mos ekzekutoni të paverifikuara .exe, .msi, .dmg, .bat, ose Python pip / Nyja npm skriptet pas instalimit direkt në sistemin operativ pritës që mban seancat e vërtetuara të shfletuesit tuaj të internetit dhe hyrjet financiare. Aktivizo Windows Sandbox (e integruar në Windows 10/11 Pro dhe Enterprise nëpërmjet Aktivizo ose çaktivizo veçoritë e Windows > Windows Sandbox) ose përdor një makinë virtuale të izoluar me kuki të shfletuesit zero të ruajtura kur teston shërbimet e palëve të treta.

Pyetjet e bëra shpesh¶

Udhëzues të lidhur¶

• Infeksion malware, ransomware dhe spyware
• MFA phishing dhe anashkalimi i kundërshtarit në mes (AiTM).
• Bllokimi i MPJ-së: si të rikuperoni llogaritë e bllokuara
• Llogaria e emailit është hakuar, rregullat e përcjelljes dhe rikuperimi
• Kullimi i portofolit të kriptomonedhës dhe kompromisi i frazës së farës
• Bllokimi i menaxherit të fjalëkalimit dhe rikuperimi i kasafortës së urgjencës
• Drejtoria e numrave të urgjencës

Burimet e kontrolluara¶

• Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) dhe FBI (Shtetet e Bashkuara): Këshilla të përbashkëta për sigurinë kibernetike mbi malware Infostealer (LummaC2, RedLine, Rhadamanthys) dhe Zbutjen e Vjedhjes së Tokenit/Sesionit (CSAE24 / MITER ATT&CK T1501 & Cookal T1501: Cookie e sesionit në ueb).
• Instituti Kombëtar i Standardeve dhe Teknologjisë (NIST) (Shtetet e Bashkuara): NIST SP 800-63B: Udhëzimet e Identitetit Dixhital: Menaxhimi i sesionit, Riautentifikimi dhe Lidhja me Token.
• Konsorciumi World Wide Web (W3C) dhe Arkitektura e Sigurisë së Google Chromium: Specifikimet e sesioneve të lidhura me pajisjen (DBSC) dhe enkriptimi i lidhur me aplikacionin Chrome (v20 DPAPI Elevation) Dokumentacioni Teknik.
• Qendra Kombëtare e Sigurisë Kibernetike (NCSC) (Mbretëria e Bashkuar): Zbutja e malware, vjedhësve të informacionit dhe rrëmbimit të sesioneve në mjediset e sipërmarrjeve dhe të konsumatorëve.
• Hapni Projektin e Sigurisë së Aplikimit në mbarë botën (OWASP): Standardet e Fletës së Mashtrimit të Menaxhimit të Sesionit dhe Revokimit të Tokenit OAuth 2.0 (RFC 7009).